Un servidor MCP puede leer archivos, consultar bases de datos y ejecutar comandos para un modelo de IA, así que un solo punto débil expone mucho. Descubre cómo funcionan los puertos abiertos, la inyección de prompts, el envenenamiento de herramientas, los paquetes maliciosos y las credenciales filtradas en incidentes reales, además de las soluciones que realmente funcionan.
Un servidor MCP es un programa pequeño con un trabajo enorme: da a un modelo de IA el poder de leer archivos, consultar bases de datos, enviar correos y ejecutar comandos de shell. Por eso las vulnerabilidades de servidores MCP siguen apareciendo en los avisos de seguridad. En aproximadamente un año desde que el protocolo se volvió habitual, los investigadores publicaron fallos críticos de ejecución remota de código, detectaron un paquete malicioso que copiaba en silencio cada correo que se enviaba y contaron 1.862 servidores expuestos en internet, de los que una muestra de 119 permitía que desconocidos listaran sus herramientas sin iniciar sesión.
Este artículo repasa los fallos de seguridad más comunes en MCP, muestra los incidentes reales que hay detrás de cada uno y termina con una lista de comprobación que puedes aplicar hoy. Cada sección empareja un fallo con la solución que realmente funciona, para que puedas cerrar los huecos en lugar de solo preocuparte por ellos.
Una API web normal hace un trabajo acotado. Un servidor MCP se parece más a una regleta de enchufes: conecta un sistema de archivos, un cliente de git, una base de datos, un navegador y una cuenta de correo en una sola conexión, y el modelo decide qué enchufe usar. Los servidores locales suelen ejecutarse como proceso hijo con los mismos permisos que tu cuenta de usuario. Por eso, una herramienta comprometida puede leer configuraciones SSH, perfiles del navegador, credenciales de la nube y todas las carpetas de proyectos del equipo.
Los servidores remotos no son más seguros. A menudo guardan tokens OAuth de varios servicios a la vez, lo que convierte una sola brecha en acceso a muchos sistemas.
El software clásico tiene una sola frontera de confianza: entra una entrada no confiable y sale un dato validado. MCP tiene al menos cuatro.
Modelos como Claude Sonnet 5 y GPT 5.6 Sol están diseñados para seguir instrucciones, y no pueden separar de forma fiable una instrucción del usuario de una instrucción oculta dentro de un documento que se les pidió resumir. Esa única debilidad impulsa la mayoría de los ataques de abajo.
💡 Regla general: trata cada cadena de texto que llegue al modelo como código no confiable, incluso cuando proceda de una herramienta que instalaste tú mismo.
El error más antiguo de la seguridad vuelve a aparecer: servicios que responden a cualquiera que llame a la puerta.
Muchos servidores MCP locales se vinculan a 0.0.0.0 en lugar de a 127.0.0.1, lo que los hace accesibles para cualquiera en la misma red Wi-Fi. Los investigadores bautizaron como NeighborJacking al ataque que sigue. MCP Inspector, la herramienta oficial de depuración, mostró lo grave que puede llegar a ser: las versiones anteriores a la 0.14.1 no tenían autenticación entre el cliente del navegador y el proxy local. Eso produjo CVE-2025-49596, un fallo de ejecución remota de código con gravedad 9,4, en el que una página web maliciosa podía enviar comandos al equipo del desarrollador mientras Inspector estaba abierto en otra pestaña.
Internet público es aún peor. El escaneo de Knostic encontró 1.862 servidores MCP expuestos. De los 119 que probaron, ninguno exigía autenticación antes de devolver su lista de herramientas. Cualquiera con un navegador o un script podía ver lo que cada servidor podía hacer y, en muchos casos, llamarlo.
Incluso los servidores que están detrás de un inicio de sesión suelen autenticar la conexión y luego no autorizar nada. Quien entre puede llamar a todas las herramientas, incluidas las destructivas. La especificación de MCP define un flujo de autorización basado en OAuth para servidores remotos, pero es opcional, y muchos desarrolladores lo omiten en una demo rápida que después acaba en producción.
Las soluciones son breves:
127.0.0.1 y valida el encabezado Origin en los transportes HTTP para bloquear el DNS rebinding.delete_record.
El fallo de MCP más peligroso no es un error de programación. Es texto. El investigador de seguridad Simon Willison llama trifecta letal a la configuración de riesgo: un agente que puede leer datos privados, ingerir contenido no confiable y enviar información hacia fuera. Si das a un agente las tres capacidades, el atacante solo necesita plantar unas cuantas frases.
Dos casos reales muestran el patrón:
Ninguno de los dos servidores tenía una vulnerabilidad clásica. Ambos hicieron exactamente lo que les pidió la parte equivocada.
El envenenamiento de herramientas traslada el ataque a los metadatos de la propia herramienta. Invariant Labs publicó el método en abril de 2025: una herramienta que parece una función inofensiva de add lleva instrucciones ocultas en su descripción, que indican al modelo que lea archivos privados SSH y los envíe hacia fuera a través de un parámetro. El usuario ve "sumar dos números" en el diálogo de aprobación. El modelo ve la descripción completa y la obedece.
Algunas variantes ocultan la carga con caracteres Unicode de ancho cero o bloques Base64, así que una revisión visual rápida no detecta nada raro.
El rug pull es la versión paciente. Un servidor se comporta bien el primer día, acumula aprobaciones y luego publica nuevas definiciones de herramientas mediante la notificación tools/list_changed. La mayoría de los clientes no pide una segunda aprobación, no fija una versión ni compara un hash. Un truco relacionado, el tool shadowing, permite que un servidor malicioso reescriba cómo el modelo usa las herramientas de un servidor de confianza, porque todas las descripciones acaban en la misma ventana de contexto.
Lo que funciona contra esta familia de ataques:
Los servidores MCP se instalan con un solo comando, normalmente npx o uvx, que descarga y ejecuta código de un registro público. En septiembre de 2025, Koi Security informó de lo que se describió como el primer servidor MCP malicioso detectado en circulación: un paquete de npm llamado postmark-mcp que copiaba una biblioteca de correo real. La versión 1.0.16 añadió una sola línea que enviaba una copia oculta de cada correo saliente a una dirección controlada por el atacante. El paquete se había descargado 1.643 veces antes de ser retirado.
Bastó una línea, porque casi nadie lee el código fuente de un servidor que instaló para ahorrarse cinco minutos.
La segunda familia es la inyección de comandos clásica. Una herramienta recibe un nombre de archivo, una URL o el nombre de una rama y lo mete en una cadena de shell. El proxy mcp-remote sufrió este patrón con CVE-2025-6514, con puntuación 9,6: conectarse a un servidor MCP no confiable podía provocar la ejecución de comandos arbitrarios del sistema operativo en el equipo que ejecutaba el proxy.
Sus primos están por todas partes:
| Tipo de fallo | Desencadenante habitual | Patrón más seguro |
|---|---|---|
| Inyección de shell | Nombre de archivo o URL pegado en una cadena de comando | Pasar los argumentos como array, nunca a través de un shell |
| Path traversal | Secuencias ../ o enlaces simbólicos en una ruta de archivo | Resolver la ruta real y luego compararla con una raíz permitida |
| SSRF | Una herramienta de descarga apuntada a direcciones internas | Bloquear rangos de IP privadas y endpoints de metadatos de la nube |
| Inyección SQL | Consultas escritas por el modelo que se ejecutan con todos los permisos | Consultas parametrizadas y un rol de base de datos de solo lectura |
Una configuración MCP típica pega un token de acceso directamente en un JSON de configuración. Ese archivo acaba confirmado en un repositorio, sincronizado con una unidad en la nube o leído por una herramienta envenenada a la que se le indicó que lo buscara. El registro de actividad empeora las cosas: los servidores que imprimen cargas completas de solicitudes escriben tokens en archivos de log que nadie rota.
La limpieza es rutinaria, pero rara vez se hace. Carga los secretos desde variables de entorno o un gestor de secretos, emite tokens de corta duración, ejecuta un escaneo de secretos en CI y oculta los encabezados de autorización en cada línea del log.
Un servidor que solo necesita leer una tabla recibe un token de rol de servicio para toda la base de datos. Un token de GitHub que alcanza todos los repositorios convierte un issue inyectado en una fuga completa. La propia documentación de Supabase recomienda por defecto un modo de solo lectura limitado al proyecto, que es el instinto correcto para cualquier servidor.
Dos errores a nivel de protocolo merecen nombre:
💡 Prueba rápida: si el token de un servidor se pegara hoy en un chat público, ¿cuánto daño podría causar? Reduce la cifra hasta que duela menos.
Aquí tienes todo el artículo resumido en una tabla que puedes pegar en una plantilla de pull request.
| Fallo | Qué aspecto tiene | Solución |
|---|---|---|
| Puertos abiertos | Servidor vinculado a 0.0.0.0, sin inicio de sesión | Vincular a localhost, exigir tokens |
| Inyección de prompts | El agente obedece el texto de un ticket o issue | Separar los permisos de lectura y envío, aprobar las acciones salientes |
| Envenenamiento de herramientas | Descripciones de herramientas largas o extrañas | Mostrar el texto completo, eliminar caracteres invisibles |
| Rug pull | Las herramientas cambian después de la aprobación | Fijar versiones, calcular el hash de las definiciones |
| Paquete malicioso | Nombre parecido a uno legítimo en npm | Verificar el editor, fijar la versión, revisar los cambios |
| Inyección de comandos | Entrada del usuario dentro de cadenas de shell | Arrays de argumentos y listas de permitidos |
| Filtración de secretos | Tokens en JSON de configuración y logs | Gestor de secretos, vida útil corta |
| Permisos excesivos | Token de administrador para una tarea de lectura | Mínimo privilegio por servidor |
Registra cada llamada a herramienta con sus argumentos y la identidad que hay detrás. Avisa cuando aparezca una herramienta nueva o cambie una definición. Limita la frecuencia de las herramientas costosas, rota los tokens según un calendario y conserva un interruptor de emergencia que desconecte todos los servidores de una vez. Revisa los logs después de la primera semana, porque es cuando suelen aparecer los comportamientos sorprendentes.
Llama Guard 4 12B es un clasificador de seguridad que puedes ejecutar en PicassoIA. Devuelve un veredicto de seguro o inseguro, junto con la categoría de daño con la que coincidió. No es un detector dedicado de inyección de prompts, así que trátalo como una alarma adicional para las descripciones y la salida de las herramientas, no como una barrera en la que confiar por sí sola.
Este es un flujo de trabajo que lleva unos minutos:
| Ajuste | Valor sugerido | Por qué ayuda |
|---|---|---|
| Temperature | 0 a 0,2 | Veredictos constantes para el mismo texto |
| Max Completion Tokens | 512 o menos | El veredicto es corto, así que más longitud no aporta nada |
| System Prompt | Reglas breves y concretas | Las reglas precisas producen menos respuestas vagas |
| Image Input | Opcional | Útil cuando hay que revisar una captura del diálogo de una herramienta |
💡 Añade una segunda opinión: pega el mismo texto en Gemini 3.5 Flash y pídele que enumere cada frase que dé una instrucción a un asistente de IA. Que dos modelos distintos no coincidan es una señal útil.
Los artículos de seguridad, los manuales operativos y las presentaciones internas de formación necesitan imágenes que parezcan vida real, no clichés de banco de fotos. Picasso IA convierte una descripción de texto en una imagen fotorrealista en segundos, así que puedes crear una imagen para cada fallo de este artículo sin hacer una sesión de fotos.
Prueba p-image para escenas rápidas y nítidas, Seedream 4.5 para mucho detalle o Flux 2 Pro cuando quieras un control preciso de la composición. Describe el sujeto, la luz y el objetivo, luego ejecútalo y ajusta un detalle a la vez. Explora todas las opciones en picassoia.com/en/all-models, elige un modelo y crea tu primera imagen hoy.
Elige tu idioma
